CVE-2026-74619 in Linux
Zusammenfassung
von VulDB • 23.08.2026
Im Linux-Kernel wurde die folgende Schwachstelle behoben:
ovl: Keine Warnung ausgeben, wenn der Mount-Vorgang aus einem anderen User-Namespace erfolgt
fsopen() speichert den User-Namespace des Aufrufers in fc->user_ns und gibt einen normalen Dateideskriptor zurück. Es besteht keine Bindung zwischen dem Task, das fsconfig(FSCONFIG_CMD_CREATE) aufruft, und dem Task, der den Kontext erstellt hat. Der fd wird über fork() und exec() vererbt und kann über einen Unix-Socket weitergegeben werden.
Das Abschließen eines Kontexts aus einem anderen User-Namespace ist absichtlich erlaubt. vfs_cmd_create() autorisiert das Erstellen mit mount_capable(), was für FS_USERNS_MOUNT ns_capable(fc->user_ns, CAP_SYS_ADMIN) prüft, und dies gelingt für einen Task, der CAP_SYS_ADMIN in einem Vorfahren von fc->user_ns besitzt. Somit kann ein unprivilegierter Task die WARN_ON() in ovl_fill_super() erreichen: Erzeugen Sie einen User- und einen Mount-Namespace in einem Kindprozess, rufen Sie dort fsopen("overlay") auf, senden Sie den fscontext-fd an den Elternprozess und lassen Sie diesen FSCONFIG_CMD_CREATE ausführen. Beide Namespaces stammen von einem einfachen unshare(1), und es ist keine Capability irgendwo erforderlich:
WARNING: fs/overlayfs/super.c:1551 bei ovl_fill_super+0x7b9/0x1e20 [overlay]
CPU: 3 UID: 1000 PID: 3243376 Comm: fswarn Call Trace: get_tree_nodev+0x71/0xa0 ovl_get_tree+0x15/0x20 [overlay]
vfs_get_tree+0x2a/0x100 vfs_cmd_create+0x60/0xf0 __do_sys_fsconfig+0x4b2/0x500
Der Kindprozess benötigt den Mount-Namespace, da fsopen() selbst an may_mount() gebunden ist, was nach CAP_SYS_ADMIN im User-Namespace fragt, der dem Mount-Namespace des Aufrufers gehört. fsconfig() wiederholt diese Prüfung nicht.
Da es sich um eine WARN_ON() und keine WARN_ON_ONCE() handelt, kann die Bedingung in einer Schleife ausgelöst werden, um den Kernel zu tainten (zu beeinträchtigen) und das Log zu fluten, was einen mit panic_on_warn gestarteten Kernel zum Panic bringt.
Verweigern Sie weiterhin den Mount-Vorgang und hören Sie auf, davor zu warnen. ovl_parse_param() führt bereits eine User-Namespace-Prüfung auf diese Weise für Opt_override_creds aus.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.